Spis treści
Kluczowe terminy NIS2
Dyrektywa NIS2 obowiązuje w Polsce od 3 kwietnia 2026 roku. Ustawa o Krajowym Systemie Cyberbezpieczeństwa (UKSC), która ją implementuje, nakłada konkretne obowiązki na blisko 38 000 polskich organizacji z sektora prywatnego i publicznego. Dla zdecydowanej większości z nich jest to pierwsza tego rodzaju regulacja z zakresu cyberbezpieczeństwa.
Terminy biegną. Dla podmiotów, które spełniały kryteria w dniu wejścia ustawy w życie, rejestracja w wykazie podmiotów kluczowych i ważnych musi nastąpić do 3 października 2026 roku. Wdrożenie systemu zarządzania bezpieczeństwem informacji do 3 kwietnia 2027 roku.
Harmonogram obowiązków wynikających z UKSC:
| Termin | Obowiązek |
|---|---|
| 3 kwietnia 2026 | Wejście w życie ustawy UKSC; przepisy zaczynają obowiązywać |
| 7 maja 2026 | Uruchomienie możliwości samorejestracji w Systemie S46 |
| 3 października 2026 | Termin złożenia wniosku o wpis do wykazu podmiotów kluczowych i ważnych |
| 3 kwietnia 2027 | Termin wdrożenia SZBI i środków technicznych i organizacyjnych |
| 3 kwietnia 2028 | Pierwszy obowiązkowy audyt bezpieczeństwa; od tej daty mogą być nakładane kary finansowe |
Czym jest dyrektywa NIS2?
NIS2 (Dyrektywa Parlamentu Europejskiego i Rady (UE) 2022/2555 z dnia 14 grudnia 2022 roku) to akt prawa unijnego, którego celem jest osiągnięcie wysokiego wspólnego poziomu cyberbezpieczeństwa na terytorium Unii Europejskiej. Zastąpiła poprzednią dyrektywę NIS z 2016 roku, rozszerzając jej zakres podmiotowy i zaostrzając wymagania.
W Polsce dyrektywa NIS2 została wdrożona przez nowelizację ustawy o Krajowym Systemie Cyberbezpieczeństwa, uchwaloną przez Sejm 23 stycznia 2026 roku, podpisaną przez Prezydenta RP 19 lutego 2026 roku i opublikowaną w Dzienniku Ustaw 2 marca 2026 roku. Ustawa weszła w życie 3 kwietnia 2026 roku.
Skala zmiany jest fundamentalna. Poprzednia ustawa o KSC z 2018 roku obejmowała około 400 operatorów usług kluczowych. Nowelizacja rozszerza ten zakres do ponad 38 000 podmiotów.
Co zmienia dyrektywa NIS2?
Dyrektywa NIS2 odchodzi od sztywnych wykazów wymagań na rzecz podejścia opartego na analizie ryzyka. Każda organizacja objęta ustawą musi samodzielnie ocenić swoje ryzyko i wdrożyć środki adekwatne do tej oceny. Zmiana ta jest jakościowa i nie chodzi tu o odhaczenie listy kontrolnej, lecz o zbudowanie trwałego systemu zarządzania bezpieczeństwem.
Poza samą filozofią regulacji, UKSC wprowadza kilka istotnych zmian względem wcześniejszych przepisów.
Odpowiedzialność kierownictwa. Cyberbezpieczeństwo przestaje być wyłącznie domeną działów IT. Kierownik podmiotu jest zobowiązany do sprawowania nadzoru nad obszarem cyberbezpieczeństwa oraz zapewnienia odpowiednich zasobów organizacyjnych i finansowych.
Bezpieczeństwo łańcucha dostaw. Organizacje są zobowiązane do zarządzania ryzykiem nie tylko we własnych systemach, ale również u dostawców produktów i usług ICT. Oznacza to konieczność weryfikacji dostawców, aktualizacji umów o stosowne klauzule bezpieczeństwa oraz identyfikacji dostawców wysokiego ryzyka. Istniejące kontrakty z dostawcami IT w większości przypadków wymagają przeglądu i uzupełnienia.
Samoidentyfikacja i rejestracja. Obowiązek ustalenia własnego statusu spoczywa na samym podmiocie. Organizacja musi samodzielnie ocenić, czy spełnia kryteria podmiotu kluczowego lub ważnego, i złożyć stosowny wniosek w Systemie S46. Błędna kwalifikacja niesie konsekwencje regulacyjne i prawne niezależnie od tego, w którą stronę błąd zostaje popełniony.
Raportowanie incydentów. Dyrektywa NIS2 wprowadza ustrukturyzowane, trójstopniowe raportowanie poważnych incydentów do właściwego CSIRT: wczesne ostrzeżenie w ciągu 24 godzin od wykrycia, pełne zgłoszenie w ciągu 72 godzin oraz raport końcowy w ciągu 30 dni. Spełnienie tych terminów bez działającego monitoringu i wdrożonych procedur reagowania jest w praktyce niemożliwe.
Kogo NIS2 będzie dotyczyć?
Nowa dyrektywa znacząco rozszerza zakres sektorów objętych regulacjami. Co więcej, nowe przepisy wprowadzają kryteria wielkościowe, które określają, jakie podmioty muszą raportować istotne incydenty cyberbezpieczeństwa do krajowych organów nadzorczych. Oznacza to, że dyrektywa eliminuje wcześniejsze różnice między operatorami usług kluczowych a dostawcami usług cyfrowych, w konsekwencji klasyfikując je teraz na podstawie ich znaczenia dla gospodarki. W związku z tymi zmianami, wyróżniamy dwie kategorie podmiotów: jednostki kluczowe, a także jednostki ważne, które podlegają różnym reżimom nadzoru.
- Przemysł spożywczy
Rozporządzenie obejmuje wszystkie przedsiębiorstwa związane z produkcją, przetwarzaniem, dystrybucją i sprzedażą żywności.
- Przemysł motoryzacyjny
Regulacje obejmują zarówno producentów, jak i dostawców części, mając na celu zabezpieczenie łańcucha dostaw i systemów produkcji przed cyberatakami.
- Produkcja chemikaliów
Firmy zajmujące się produkcją i dystrybucją chemikaliów, w tym chemikaliów przemysłowych, pestycydów i innych materiałów chemicznych.
- Dostawcy usług cyfrowych
NIS2 obejmie dostawców usług internetowych, a także usług w chmurze oraz centra danych.
- Przestrzeń kosmiczna
Firmy, które zajmują się satelitami, infrastrukturą naziemną, telekomunikacją kosmiczną, nawigacją satelitarną, obserwacją Ziemi, badaniami oraz dostawami usług i technologii kosmicznych.
- Gospodarka odpadami
Obejmuje przedsiębiorstwa zajmujące się zbieraniem, transportem, przetwarzaniem i utylizacją odpadów.
- Administracja publiczna
Dotyczy systemów informacyjnych i sieci wykorzystywanych w gminach, powiatach i innych jednostkach samorządu terytorialnego.
- Zarządzanie usługami ICT
Obejmuje zarządzane usługi IT i usługi bezpieczeństwa IT dostarczane przez zewnętrznych dostawców.
Podmioty kluczowe
Podmioty kluczowe to te, których zakłócenie działalności może mieć poważne konsekwencje dla społeczeństwa. Wśród nich możemy wyróżnić sektory takie jak:
1. Energetyka:
- Elektroenergetyka
- Ogrzewanie i chłodzenie miejskie
- Ropa naftowa
- Gaz
2. Transport:
- Lotnictwo
- Koleje
- Transport wodny (morski i śródlądowy)
- Transport drogowy
3. Bankowość:
- Infrastruktura rynków finansowych
4. Zdrowie:
- Szpitale
- Produkcja farmaceutyków, w tym szczepionek
- Woda pitna
- Zarządzanie ściekami
5. Infrastruktura cyfrowa:
- Punkty wymiany internetowego ruchu
- Dostawcy usług DNS
- Dostawcy usług chmurowych
- Dostawcy usług centrów danych
- Sieci dostarczania treści
- Dostawcy usług zaufania
- Dostawcy publicznych sieci komunikacji elektronicznej i publicznie dostępnych usług komunikacji elektronicznej
6. Zarządzanie usługami ICT:
- Dostawcy usług
7. Administracja publiczna
- Jednostki samorządu terytorialnego (powiatowe, gminne)
8. Przestrzeń kosmiczna
- Dostawcy oprogramowania
- Operatorzy infrastruktury krytycznej
- Producenci sprzętu kosmicznego
Podmioty ważne
Podmioty ważne to sektory, które również spełniają kryteria dyrektywy Parlamentu Europejskiego. Obejmują one usługi takie jak:
- Poczta i usługi kurierskie
- Zarządzanie ściekami i odpadami
- Produkcja i dystrybucja chemikaliów
- Produkcja i dystrybucja żywności
- Producenci sprzętu i oprogramowania
- Systemy IT organów administracji państwowej i samorządowej
Obie kategorie muszą stosować te same środki bezpieczeństwa z tą różnicą, iż podmioty kluczowe podlegają bardziej aktywnemu nadzorowi, podczas gdy instytucje ważne są monitorowane głównie po zgłoszeniu incydentu.
Kompetencje organów nadzorczych w zakresie kontroli środków zarządzania ryzykiem
Dyrektywa NIS2 przyznaje organom nadzorczym znaczne uprawnienia w zakresie monitorowania i wymuszania przestrzegania przepisów. Wśród ich kompetencji znajdują się:
- Przeprowadzanie audytów bezpieczeństwa,
- Żądanie dostępu do niezbędnych informacji, danych i dokumentacji od podmiotów podlegających regulacjom,
- Wydawanie poleceń zapewniających zgodność działań podmiotów z dyrektywą NIS2.
W przypadku, gdy podmioty kluczowe nie spełniają wymogów dyrektywy, organy nadzorcze mogą wprowadzić surowe środki, takie jak tymczasowe zawieszenie ich certyfikatów czy zawieszenie działalności organizacji.
Sprawdź, czy podlegasz pod UKSC (NIS2)
Sprawdz w minutę, czy Twoja firma podlega pod UKSC / NIS2. Masz pytanie? Skontaktuj się z nami!
Kiedy zacznie obowiązywać NIS2?
Zakres obowiązków wynikających z NIS2 zostanie w Polsce jednoznacznie określony dopiero po przyjęciu nowej ustawy o krajowym systemie cyberbezpieczeństwa. Projekt przepisów jest nadal w toku, a jego ostateczna treść może jeszcze ulec zmianom. Z tego względu warto regularnie monitorować komunikaty publikowane przez Ministerstwo Cyfryzacji, Rządowe Centrum Bezpieczeństwa oraz zespoły CSIRT, które na bieżąco informują o postępach prac.
Wstępna kwalifikacja uzyskana poprzez nasz formularz pozwala przygotować się na nadchodzące obowiązki, jednak pełny zakres wymagań będzie znany dopiero po zakończeniu procesu legislacyjnego. Co istotne, po wejściu w życie ustawy przedsiębiorcy będą mieli ograniczony czas na dostosowanie się do nowych wymogów.
Tym bardziej warto rozpocząć przygotowania wcześniej, aby uniknąć presji czasu i możliwych ryzyk operacyjnych.
Kary za naruszenie obowiązków wynikających z NIS2 / UKSC
Kary finansowe mogą być nakładane od 3 kwietnia 2028 roku. Naruszenie obowiązków wcześniejszych, takich jak brak rejestracji w S46 do 3 października 2026 roku lub brak wdrożenia SZBI do 3 kwietnia 2027 roku, stanowi odrębną podstawę sankcji niezależną od terminu kar finansowych.
| Kategoria | Maksymalna kara finansowa |
|---|---|
| Podmiot kluczowy | 10 mln euro lub 2% rocznego obrotu |
| Podmiot ważny | 7 mln euro lub 1,4% rocznego obrotu |
| Zagrożenie bezpieczeństwa państwa | Do 100 mln zł |
| Kierownik podmiotu (odpowiedzialność osobista) | Do 300% miesięcznego wynagrodzenia oraz możliwy zakaz pełnienia funkcji zarządczych |
NIS2 a inne regulacje
Organizacje objęte UKSC często działają równolegle w środowisku innych regulacji. UKSC nie zastępuje żadnej z nich i tworzy odrębny system obowiązków.
NIS2 a RODO. RODO reguluje ochronę danych osobowych i prawa osób fizycznych. UKSC reguluje bezpieczeństwo sieci i systemów informacyjnych oraz ciągłość świadczenia usług. Obowiązki wynikają z odrębnych aktów prawnych, podlegają nadzorowi różnych organów i przewidują niezależne sankcje. Spełnienie wymagań RODO nie gwarantuje zgodności z UKSC.
NIS2 a DORA. Podmioty sektora finansowego podlegają jednocześnie rozporządzeniu DORA i UKSC. DORA koncentruje się na operacyjnej odporności cyfrowej instytucji finansowych i zarządzaniu ryzykiem ICT. UKSC nakłada dodatkowe obowiązki raportowania do CSIRT i wzmacnia odpowiedzialność kierownictwa. Jeden incydent może wymagać równoległego raportowania do różnych organów w różnych terminach i formatach.
NIS2 a ISO 27001. Posiadanie certyfikatu ISO 27001 stanowi dobry punkt wyjścia do wdrożenia UKSC i znacząco ułatwia ten proces. Certyfikat nie gwarantuje jednak zgodności z ustawą. Polska ustawa zawiera wymagania niemające odpowiednika w normie ISO 27001, w tym mechanizm dostawcy wysokiego ryzyka, weryfikację niekaralności pracowników oraz szczegółowe terminy raportowania incydentów do CSIRT.
Jak SEDIVIO może pomóc Twojej organizacji w spełnieniu wymogów NIS2?
Wdrożenie UKSC wymaga jednoczesnych kompetencji technicznych i prawnych. Rozbicie projektu na dwa osobne zespoły, kancelarię prawną i firmę IT działające niezależnie od siebie, jest jedną z najczęstszych przyczyn niepowodzeń wdrożeń NIS2. Prawnicy formułują wymagania w języku prawnym, inżynierowie w języku technicznym, a organizacja pozostaje bez spójnej odpowiedzi na pytanie, co konkretnie i w jakim terminie należy wdrożyć.
SEDIVIO realizuje wdrożenia UKSC we współpracy z kancelarią prawną KRWLEGAL. Oznacza to, że w ramach jednego projektu organizacja otrzymuje interpretację prawną przepisów, analizę regulacyjną swojej sytuacji, projekt techniczny oraz wdrożenie środków bezpieczeństwa. Kwalifikacja, dokumentacja, SZBI, procedury incydentowe, przegląd umów z dostawcami i wsparcie na audyt realizowane są przez jeden zespół ponoszący wspólną odpowiedzialność za wynik.
SEDIVIO to zaufany partner do wdrożenia NIS2
Od ponad 20 lat uczestniczymy w cyfryzacji Polski. Wdrażaliśmy systemy informatyczne, budowaliśmy infrastrukturę IT i doradzaliśmy przy projektach transformacji cyfrowej w instytucjach publicznych i przedsiębiorstwach z sektorów regulowanych. To doświadczenie przekłada się na rozumienie realiów operacyjnych polskich organizacji, złożoności środowisk IT i ograniczeń wynikających z eksploatacji systemów wymagających modernizacji. Wiemy, co jest wykonalne w 12 miesiącach i jakie ryzyka pojawiają się, gdy projekt wdrożeniowy jest realizowany pod presją terminu.
W ramach wdrożeń UKSC wykorzystujemy własne narzędzia: Cyrima, TestSec i Navigator, które wspierają zarządzanie ryzykiem, testowanie bezpieczeństwa i utrzymanie zgodności w codziennej działalności operacyjnej.
Jeżeli chcesz ustalić, czy i w jakim zakresie Twoja organizacja podlega UKSC oraz co to oznacza konkretnie dla jej zarządu i procesów operacyjnych, zapraszamy na bezpłatną konsultację.
Zaufali nam
Od instytucji publicznych po liderów innowacji – wspólnie tworzymy bezpieczniejsze środowisko cyfrowe.
